Sind Sie Anbieter einer Plattform für soziale Netzwerke gemäß EU 2024/2690?

„Ein soziales Netzwerk? Nein, nein. Wir betreiben nur eine Plattform, auf der Nutzer Profile anlegen, einander folgen, Beiträge schreiben, chatten, Videos hochladen und interessante Inhalte entdecken können.“

Nun ja. Man kann einen Dackel auch „niedriges Langformat-Haustier“ nennen. Er bleibt trotzdem ein Dackel.

Bei Plattformen für soziale Netzwerke denken viele zuerst an einige weltbekannte Unternehmen. Die Legaldefinition der NIS-2-Richtlinie enthält aber keine Liste berühmter Marken. Sie beschreibt Funktionen. Wer eine kleinere Fachcommunity, ein großes Forum, eine Mitgliederplattform oder eine App mit sozialen Funktionen betreibt, sollte deshalb genauer hinsehen.

Das bedeutet nicht, dass jede Kommentarfunktion und jeder Gruppenchat sofort ein soziales Netzwerk ist. Die Funktionen müssen in ihrer Gesamtheit betrachtet werden – und danach kommt noch die Frage der Unternehmensgröße.

Die kurze Antwort

Artikel 6 Nummer 33 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 definiert eine „Plattform für Dienste sozialer Netzwerke“ unmittelbar.

Gemeint ist eine Plattform, auf der Endnutzer mit unterschiedlichen Geräten:

1. miteinander in Kontakt treten,
2. miteinander kommunizieren,
3. Inhalte teilen und
4. Inhalte entdecken können.

Als Beispiele nennt die Richtlinie Chats, Posts, Videos und Empfehlungen. Das Wort „insbesondere“ zeigt: Diese Liste ist nicht abschließend. Eine neue technische Verpackung fällt also nicht deshalb heraus, weil sie 2022 noch keinen schicken Produktnamen hatte.

Entscheidend ist die soziale Plattformfunktion. Nutzer sind nicht nur passive Leser eines redaktionellen Angebots. Sie finden andere Nutzer oder deren Inhalte, treten miteinander in Verbindung und kommunizieren oder teilen Inhalte.

Die vier Merkmale im Praxistest

1. Gibt es eine Plattform für Endnutzer?

Die technische Form ist offen. Es kann sich um eine Website, eine App oder einen anderen digitalen Dienst handeln. Die Nutzer greifen möglicherweise mit Smartphone, Notebook, Tablet oder anderen Geräten darauf zu.

Ein rein redaktionelles Online-Magazin ist noch keine Plattform für soziale Netzwerke. Auch eine Unternehmenswebsite mit Kontaktformular bringt Endnutzer nicht untereinander zusammen.

2. Können Nutzer miteinander in Kontakt treten?

Das kann über Profile, Gruppen, Freundschaften, Follower, Mitgliederverzeichnisse, Themenräume oder Empfehlungen geschehen. Nutzer müssen andere Nutzer oder deren Aktivitäten überhaupt entdecken können.

Ein Dienst, der nur Nachrichten an einen bereits bekannten Empfänger übermittelt, erfüllt dieses Element nicht so deutlich wie eine Plattform, die Kontakte, Profile, Gruppen oder Communitys sichtbar und auffindbar macht.

3. Können Nutzer miteinander kommunizieren?

Chats sind ausdrücklich genannt. Daneben kommen Kommentare, Antworten, Direktnachrichten, Gruppenbeiträge, Audio- oder Videoformate in Betracht.

Eine reine Einbahnstraße passt schlechter: Wenn ein Anbieter Inhalte sendet und alle anderen nur konsumieren, fehlt die Kommunikation der Endnutzer untereinander. Ein Newsletter wird nicht zum sozialen Netzwerk, weil am Ende eine E-Mail-Adresse für Rückfragen steht.

4. Können Nutzer Inhalte teilen und entdecken?

Posts, Videos und Empfehlungen nennt die NIS-2-Richtlinie ausdrücklich. Auch Bilder, Links, Dateien, Bewertungen, Veranstaltungsbeiträge oder andere nutzergenerierte Inhalte können dazugehören.

Das Entdecken ist wichtig. Feeds, Suchfunktionen, Hashtags, Gruppen, Empfehlungssysteme oder Profilansichten sorgen dafür, dass Inhalte nicht ausschließlich in einem bereits bekannten Eins-zu-eins-Kanal bleiben.

Ist jedes Forum ein soziales Netzwerk?

Ein Forum kann erstaunlich gut in die Definition passen: Endnutzer treten über Themen und Profile miteinander in Kontakt, kommunizieren über Beiträge und Antworten, teilen Inhalte und entdecken neue Diskussionen.

Der Name „Forum“ rettet also nicht automatisch vor der Einordnung. Umgekehrt sollte man nicht jede kleine Supportseite mit drei Kommentaren vorschnell zum sozialen Netzwerk erklären. Es kommt darauf an, ob tatsächlich eine Plattform für soziale Interaktion betrieben wird oder ob eine Nebenfunktion an einem ganz anderen Dienst hängt.

Prüfen Sie insbesondere:

• Können Nutzer eigene Identitäten oder Profile verwenden?
• Können sie andere Nutzer und deren Inhalte finden?
• Können sie Beiträge veröffentlichen, beantworten oder weitergeben?
• Gibt es Gruppen, Feeds, Empfehlungen oder andere Entdeckungsfunktionen?
• Ist die Community eine eigenständige Leistung oder nur ein unbedeutendes Beiwerk?

Messenger, Collaboration Tool oder soziales Netzwerk?

Ein reiner Messenger für Nachrichten zwischen bereits bekannten Kontakten ist ein Grenzfall und kann außerdem unter andere telekommunikationsrechtliche Kategorien fallen. Chat wird zwar ausdrücklich als Beispiel genannt. Die Definition verlangt aber auch, dass Endnutzer Inhalte teilen und entdecken können und miteinander in Kontakt treten.

Je mehr ein Dienst öffentliche oder halböffentliche Profile, Gruppen, Kanäle, Feeds, Empfehlungen und auffindbare Inhalte anbietet, desto stärker nähert er sich einer Plattform für soziale Netzwerke.

Bei einem internen Collaboration Tool ist zusätzlich zu fragen, wer die Plattform anbietet. Ein Unternehmen wird nicht ohne Weiteres zum Anbieter eines sozialen Netzwerks, weil seine Beschäftigten im eigenen Intranet miteinander chatten. Ein externer Anbieter, der zahlreichen Organisationen eine umfassende Community-Plattform bereitstellt, kann dagegen näher an der Definition liegen. Die genaue Abgrenzung verdient bei Mischdiensten eine rechtliche Prüfung.

Typische Angebote im Schnellcheck

Spielt die Unternehmensgröße eine Rolle?

Ja. Plattformen für Dienste sozialer Netzwerke werden nicht allein wegen ihrer Tätigkeit unabhängig von der Größe erfasst.

Nach Artikel 2 Absatz 1 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 greift der reguläre Anwendungsbereich bei Einrichtungen, die mindestens als mittlere Unternehmen gelten oder die Schwellen dafür überschreiten. Vereinfacht:

• Kleinstunternehmen: weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall nicht allein wegen der Plattform erfasst.
• Kleine Unternehmen: weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall ebenfalls nicht allein wegen der Plattform erfasst.
• Mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme; als Anbieter einer Plattform für soziale Netzwerke grundsätzlich im Anwendungsbereich.

Plattformen für Dienste sozialer Netzwerke stehen in Anhang II der NIS-2-Richtlinie. Im Regelfall gehören erfasste Anbieter daher nach Artikel 3 Absatz 2 zu den wichtigen Einrichtungen. Besondere Einstufungsgründe können zu einem anderen Ergebnis führen.

Unternehmensgruppen zählen grundsätzlich mit

Partner- und verbundene Unternehmen können bei der KMU-Berechnung einzubeziehen sein. Die schlanke Plattformgesellschaft ist größenrechtlich also nicht zwingend klein, wenn hinter ihr eine deutlich größere Unternehmensgruppe steht.

Sonderfälle bleiben möglich

Artikel 2 Absatz 2 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 enthält größenunabhängige Sonderfälle, etwa bei besonderer Kritikalität, erheblichen Auswirkungen oder systemischen Risiken.

Hauptniederlassung und Registrierung

Bei grenzüberschreitenden Plattformen ist nicht einfach jedes Land gleichzeitig federführend. Artikel 26 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 knüpft grundsätzlich an die Hauptniederlassung in der Union an. Maßgeblich ist zunächst, wo überwiegend über die Maßnahmen zum Cybersicherheits-Risikomanagement entschieden wird.

Hat ein Anbieter keine Niederlassung in der Union, bietet seine Plattform aber innerhalb der Union an, kann die Benennung eines Vertreters in der Union erforderlich sein. Artikel 27 sieht außerdem Registrierungsangaben für die betreffenden Anbietergruppen vor. Für international aufgestellte Plattformen gehört die Zuständigkeitsfrage deshalb früh auf den Tisch – nicht erst, wenn aus drei Behördenpostfächern gleichzeitig E-Mails eintreffen.

Was verlangt die EU 2024/2690 von Plattformanbietern?

Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die technischen und methodischen Anforderungen an das Cybersicherheits-Risikomanagement. Behandelt werden unter anderem Governance, Risiken, Vorfälle, Business Continuity, Lieferketten, sichere Entwicklung, Wirksamkeitsprüfung, Kryptografie, Personal, Zugriffe, Assets und physische Sicherheit.

Bei sozialen Netzwerken treffen viele sensible Funktionen aufeinander: Nutzerkonten, Profile, Direktnachrichten, veröffentlichte Inhalte, Empfehlungslogik, Moderationswerkzeuge, Administrationszugänge, Schnittstellen und häufig eine große Zahl externer Dienstleister. Ein übernommenes Moderations- oder Administrationskonto kann erheblichen Schaden anrichten. Manipulierte Inhalte oder Empfehlungen betreffen nicht nur Verfügbarkeit, sondern gerade auch Integrität und Authentizität.

Praktisch braucht es unter anderem:

• ein belastbares Risikomanagement;
• vollständiges Asset Management;
• sichere Entwicklung und kontrollierte Änderungen;
• starke Zugriffskontrollen und Mehrfaktorauthentifizierung;
• Logging und Monitoring für Konten, Moderation und Administration;
• belastbare Lieferantensteuerung;
• Business Continuity Management und
• ein funktionierendes Informationssicherheitsvorfall-Management.

Wann ist ein Vorfall bei einem sozialen Netzwerk erheblich?

Artikel 13 der Durchführungsverordnung (EU) 2024/2690 nennt vier spezielle Kriterien. Ein Vorfall gilt als erheblich, wenn mindestens eines erfüllt ist:

1. Die Plattform ist für mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer vollständig nicht verfügbar – die niedrigere Zahl zählt.
2. Mehr als 5 Prozent oder eine Million Nutzer sind von eingeschränkter Verfügbarkeit betroffen.
3. Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb gespeicherten, übermittelten oder verarbeiteten Daten sind infolge einer mutmaßlich böswilligen Handlung beeinträchtigt.
4. Diese Datenmerkmale sind beeinträchtigt und mehr als 5 Prozent oder eine Million Nutzer sind betroffen.

Die speziellen Verfügbarkeitskriterien nennen keine Mindestdauer. Außerdem können nach Artikel 3 Absatz 3 der Durchführungsverordnung (EU) 2024/2690 gegebenenfalls auch Nutzer mitzuzählen sein, die mit Geschäftskunden der Einrichtung verbunden sind.

Hilft ISO 27001 bei der Umsetzung?

Ein wirksames ISO 27001-Managementsystem ist ein starkes Fundament. Risikomanagement, Entwicklung, Zugriffe, Logging, Lieferanten, BCM, Assets und Vorfallmanagement passen gut zu den Vorgaben. Erwägungsgrund 3 der Durchführungsverordnung (EU) 2024/2690 nennt ISO/IEC 27001 und ISO/IEC 27002 ausdrücklich als fachliche Grundlage.

Das Zertifikat ersetzt aber weder die rechtliche Einordnung noch Registrierung, Vorfallsgrenzen und Meldepflichten. Die Plattform, ihre Entwicklung, ihr Betrieb und die beteiligten Dienstleister müssen tatsächlich im Scope des ISMS berücksichtigt sein.

So prüfen Sie Ihre Plattform

1. Beschreiben Sie die Leistung aus Sicht der Endnutzer.
2. Erfassen Sie Profile, Kontakte, Gruppen, Chats, Posts, Feeds und Empfehlungen.
3. Prüfen Sie, ob Nutzer andere Nutzer und Inhalte entdecken können.
4. Trennen Sie Kernleistung und bloße Nebenfunktion.
5. Klären Sie, welche juristische Person die Plattform anbietet.
6. Berechnen Sie die Unternehmensgröße einschließlich verbundener Unternehmen.
7. Prüfen Sie Sonderfälle, Hauptniederlassung, Zuständigkeit und Registrierung.
8. Dokumentieren Sie die Einordnung nachvollziehbar.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die Durchführungsverordnung (EU) 2024/2690. Den Überblick über alle elf Anbietergruppen finden Sie im Hub zur EU-Durchführungsverordnung 2024/2690.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.